CVE-2025-14997

Nome do Software Vulnerável e Versões Afetadas Versões do plugin BuddyPress Xprofile Custom Field Types até a 1.2.8

Descrição O plugin BuddyPress Xprofile Custom Field Types para WordPress possui uma falha que permite a atacantes autenticados com acesso de nível de Assinante (Subscriber) ou superior excluir arquivos arbitrários no servidor. Isso se deve à validação inadequada do caminho do arquivo dentro da função delete field. A exclusão de arquivos específicos, como wp-config.php, pode levar à execução remota de código.

Recomendações Atualize o plugin BuddyPress Xprofile Custom Field Types para uma versão posterior à 1.2.8.